IPv6 ta ramin OpenVPN: yadda za a bi ta rawutar gida

Kwamfutar tafi-da-gida tana da adireshin IPv6, ramin yana aiki bisa IPv4, amma duk gwajin IPv6 ya kasa. Ko mafi muni: gwajin ya yi nasara kuma turakin ya fita ta hanyar ISP ba tare da ya taɓa shiga ramin ba. Dukan sakamakon biyu suna komawa ga shawara ɗaya da ta ɓace: babu wanda ya ba rawutar prefix da za ta iya turawa zuwa ga abokan ciniki. Idan ka bi hanyar daga abokin ciniki zuwa waje, za ka gano wane yanki ya ɓace.

Fara daga inda abokin ciniki yake

Duba abokin ciniki kafin ka taɓa uwar garke. ip -6 addr ya kamata ya nuna adireshin rami daga ɗakin ajiya, kuma ip -6 route ya kamata ya nuna prefix ɗin da aka tura wanda ke nuni ga na'urar rami. Idan adireshin yana nan amma babu hanya, turawa ta ɓace ko abokin ciniki ya yi watsi da ita. Idan babu ɗaya daga cikinsu, uwar garke ba ta ba da komai ba kwata-kwata.

Sannan ka duba abin da abokin ciniki ya yi imani da shi game da duniyar waje. Hanyar da aka saba ta ramin tana neman dukan turakin IPv6, yayin da hanya don 2000::/3 tana neman unicast na duniya kawai. Dukansu na iya zama daidai, kuma suna amsa tambayoyi daban-daban game da ɓari.

Abokin ciniki da ba shi da kowane irin tsohuwar hanyar IPv6 yana kasawa a kowace gwajin jama'a alhali ramin kansa yana da lafiya sosai. Wannan gibin manufa ne, ba rami da ya lalace ba.

Duba ɗakin ajiyar da uwar garke za ta iya turawa da gaske

Uwar garke na iya bayarwa ne kawai daga prefix ɗin da take sarrafawa da gaske. Idan ISP ya ba da /56, ka ajiye /64 ɗaya don ramin ka bar sauran don LAN. Inda ISP ke bayar da /64 ɗaya kawai a WAN kuma ba ya turawa ƙari, ka bar prefix ɗin LAN cikin kwanciyar hankali ka ba ramin yanki na gida na musamman, tare da yarda cewa abokan ciniki ba za su sami mafita ta duniya ba.

Ɗakin ajiya da turawa suna tare. server-ipv6 2001:db8:80:10::/64 yana ba da adireshi, kuma push "route-ipv6 2000::/3" yana gaya wa abokan ciniki abin da za su aika cikin ramin. Tura 2000::/3 yana rufe unicast na duniya kuma yana barin yankunan link-local da multicast a wajen ramin.

Rubuta prefix ɗin da aka zaɓa a cikin rikodin turawar aiki. Wanda zai canza miƙar ISP na gaba yana bukatar ya san wane /64 ramin ya riga ya mamaye.

Kunna turawa don iyali na biyu

Turawar IPv4 ba ta nufin turawar IPv6 ba. Saita net.ipv6.conf.all.forwarding=1 ka kwaikwayi duk abin da manufar FORWARD ta IPv4 ta riga ta yarda da shi. A kan rawutar da sarkar FORWARD ɗinta ke watsi da kai tsaye, tsarin ƙa'idojin da ya ɓace yana kama da mataccen rami daidai.

Musafaha yana nasara, abokin ciniki yana samun adireshi, kuma babu abin da ke dawowa. Ƙara ƙa'idoji don duka kwatance biyu da kuma ƙafar WAN, domin ramin da ya isa LAN amma bai isa intanet ba yana kasawa a gwaji na uku. Bayan yunƙurin da ya kasa, duba ƙididdigar sarkar, domin ƙa'idar da ba ta taɓa dacewa ba wata matsala ce daban da wadda ta dace ta kuma watsar.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Wani illa yana kama mutanen da a ƙarshe suke zargin ramin. Kunna turawa yana sa kernel ya tsallake saitin adireshi ta hanyar sanarwar rawuta sai dai idan ka faɗa masa wani abu, kuma hanyar da aka saba da aka koya haka tana ɓacewa tare da ita. Ko ka ƙulla hanyar da aka saba a fili a kan muƙamar WAN, ko ka saita accept_ra zuwa 2 a can da gangan. Bayan kowane canji, tabbatar cewa rawutar tana da hanyar IPv6 mai amfani zuwa waje kafin ka sake gwada abokan ciniki.

Amsa gano maƙwabta idan na sama ba ya turawa

Kayan aikin na sama wani lokaci suna ɗaukar /64 ɗin da aka ba da shi a matsayin na haɗin nasu kuma suna ƙin turawa kowane ƙaramin prefix zuwa akwatin VPN. Idan hakan ta faru, wani abu dole ya amsa buƙatun maƙwabta ga kowane adireshin abokin ciniki daban.

OpenVPN yana fallasa adireshin da aka ba da ga ƙugiya ta client-connect, don haka shigarwar za su iya bin ɗakin ajiya na ainihi maimakon jerin da ake kula da su da hannu. Ƙugiyar tana ƙara ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0, kuma madaidaiciyar ƙugiya ta client-disconnect tana cire shi. Idan ba a cire ba, teburin proxy yana tsufa kuma wani abokin ciniki na gaba na iya gado shigarwa don adireshin da bai taɓa samu ba. Tabbatar da yanayin da ip -6 neigh show proxy.

Dauki proxy a matsayin hanyar wucin gadi. Tsayayyen hanya don /64 na ramin da aka nufe ga rawutar tana jure wa canjin abokan ciniki kuma ba ya buƙatar kowane ƙugiyar shell mai gata.

Bi hanyar zuwa waje, tsalle-tsalle

Gwada zuwa waje a matakai uku: da farko adireshin ramin rawutar, sannan mai masaukin LAN, na uku kuma wuri na jama'a ta traceroute6. Ɗakin ajiya ana tabbatar da shi ta na farko, turawa da bangon wuta na LAN ta na biyu, kuma hanyar dawowa ta na sama ta na uku. Kowace gazawa tana taƙaita bincike ga na'ura ɗaya maimakon sake buɗe dukan ƙira.

Kula da MTU na ramin, domin rawutocin IPv6 a hanya ba za su raba gida dominka ba. MTU mai girma fiye da kima yana bayyana a matsayin kuskuren packet-too-big da TLS da ya tsaya maimakon kasawa mai tsabta. Saita shi a fili ka gwada da kaya kusa da iyaka.